Gartner预测：70% AI攻击绕开模型，软件供应链安全成主战场

简介面向安全与风险管理领导者的Gartner 2025年预测报告聚焦AI驱动下的网络安全动荡期帮助组织审视生成式AI落地受挫、AI代理漂洗、软件供应链与技术栈中毒等新风险并据此调整安全规划与治理重点。压缩包仅含1份PDF体积约215KB便于快速查阅与内部传阅。报告围绕应用安全薄弱环节、AI管道组件库存不清带来的新攻击面以及规模化诈骗内容、伪造语音和深度伪造等攻击向量展开并给出到2025年超70%针对企业AI的恶意攻击源于供应链与基础设施技术栈中毒等战略假设。读者可从中获取关键发现、战略规划假设和面向安全领导者的行动建议包括审查应用安全实践与AI软件供应链、优先推进成果驱动的AI计划、重估通信渠道和凭证安全、建立AI威胁情报并调优深度伪造防御。已有90人学习适合安全负责人、架构师与AI治理从业者用作年度规划参考。1. Gartner 2025 预测70% 的恶意攻击绕开了模型本身2025 年 2 月发布的这份 Gartner 预测报告核心判断有点反直觉到 2025 年底针对企业内 AI 的恶意攻击中超过 70% 来自软件供应链与基础设施技术栈的中毒而不是模型算法自身的漏洞。换句话说AI 安全的主战场不在模型内部而在它的上游——被下载的开源权重、数据科学 notebook、Python 依赖和 ML 管道配置。报告同期给出一串时间点2027 年 90% 成功的 AI 安全落地是战术型任务自动化而非角色替代2027 年 AI 代理把账户暴露的利用时间压缩一半2028 年 40% 的社会工程攻击改用深度伪造受众从高管扩散到全员。这几条并排读指向的不是「AI 很危险」而是攻击的成本结构被重算了一遍。对从业者来说真正要回答的问题只有一个你能列出环境里所有 AI 组件的清单吗如果不能那 70% 这个数字就跟你有关。2. 软件供应链安全70% 这个数字背后的三个事实2.1 攻击者的算盘从上游下手影响最大、力气最小报告里有一句很朴素的话——攻击者传统上把大部分攻击放在基础设施和供应链层除非他们盯上了非常具体的目标。这个逻辑不新鲜新鲜的是 AI 把这条老路铺到了新的地方。企业为了做 AI 项目会在几个月里往环境里塞进大量以前根本不进机房的东西开源模型权重、数据科学 notebook、Python 依赖树、ML 管道配置、特征库导出文件。这些东西大多由数据科学团队自己拉、自己装走的是和个人开发者差不多的路径而不是走安全团队审批过的软件分发流程。报告第一条关键发现就点在这里组织在推进大量 AI 采用与开发项目时AI 管道软件组件的清单质量很差应用安全程序的弱点因此被放大攻击面随之扩大。清单差意味着三件事同时成立。其一你不知道某个被污染的组件已经进来了其二你不知道它被哪些业务复用其三出事之后你无法回溯影响范围。这三件事叠在一起就是「影响最大、力气最小」的具体形态——一次污染可能波及所有复用同一模型或同一 notebook 的团队一次管道误配置漏出去的是整批数据而不是单条记录。从行业角度看这也解释了为什么供应链攻击在传统 IT 领域喊了这么多年真正落地到 AI 上反而更凶传统软件的组件清单好歹有 SBOM 这套东西在推AI 资产到目前为止连「什么算组件」都还没达成共识。模型权重算不算组件notebook 算不算组件特征导出的中间文件算不算没人给标准答案工具自然也就无从下手。2.2 1% 的污染率乘以你的资产规模才是真实风险报告引用了一组现场数据专业 AI 安全厂商在客户站点定期扫描开源模型反馈显示最高有 1% 的开源模型被植入恶意软件同时在客户现场发现了数以千计被感染的 notebook。1% 这个数字单独看很容易被误读成「概率不高可以先放放」。但风险从来不是看比例是看比例乘以暴露面。一个数据科学平台上如果躺着两千个模型文件按 1% 算期望值就是二十个中招更要命的是这 1% 是「被扫出来的」没扫的部分是未知分母本身就不确定。notebook 的风险点值得单独讲清楚因为它是最容易被当成「文档」而不是「程序」的东西。一个 .ipynb 文件里单元格可以乱序执行输出可以被清空也可以被隐藏%pip install能从任意源拉包而 pickle 反序列化天然就是可执行代码——这也是为什么模型文件格式里那些.pt、.bin常常被安全圈视作黑匣子加载即执行。你以为在加载一个权重文件实际上可能在跑一段陌生代码。这一点上近两年推开的.safetensors之类只存张量的格式动机就是把这个执行面砍掉。管道的另一个高发点是误配置。报告提到攻击者会利用用户对数据管道的错误配置把敏感信息导流到外部服务器。凭据硬编码在 notebook 单元格里、对象存储桶权限开成公开、特征导出目标指向一个没人认领的外部地址——这些都不是高深攻击但恰恰是自动化扫描最容易批量命中的东西。报告还给了个判断攻击者觉得攻数据管道比一笔一笔去攻运行时交易更划算。这句要划重点它意味着防御重心要从「守每一次调用」往「守整条链路」挪。2.3 传统应用安全工具接不住 AI 组件这是工具缺口不是态度问题报告里有一句不太好听但很实在的话并不是所有传统应用安全工具都已经演进到能对 AI 实体做漏洞扫描员工手里的工具有限企业因此在 AI 应用落地过程中处于裸奔状态。这不是安全团队不努力是工具链断层。SAST 看的是源码语法结构扫描器默认不认识model.load_state_dict()背后那个二进制文件的历史SCA 看的是包管理器的依赖声明但数据科学环境里大量依赖是靠pip install现拉的根本没有进 lock 文件容器镜像扫描看的是 OS 层和已知 CVE而污染过的模型权重不带 CVE 编号。所以报告给的第一条建议不是「买某个产品」而是「先建发现与清点流程」。这个顺序很重要——你没法保护一个看不见的东西。下面这段脚本是个最小可用的起点作用是把散落在工作区里的 AI 资产拉成一份可审计的指纹清单# ai_asset_inventory.py # 目的把数据科学工作区里的 AI 组件拉成清单作为后续比对的基线 import hashlib import json import os from pathlib import Path # 关注三类资产模型权重、notebook、依赖声明文件 SUFFIXES {.pt, .pth, .bin, .safetensors, .onnx, .ipynb, .lock, .txt} def sha256(path: Path) - str: h hashlib.sha256() with path.open(rb) as f: # 分块读取避免大模型文件把内存打满 for chunk in iter(lambda: f.read(1 20), b): h.update(chunk) return h.hexdigest() def scan(root: str) - list[dict]: assets [] for dirpath, _, filenames in os.walk(root): for name in filenames: p Path(dirpath) / name if p.suffix.lower() not in SUFFIXES: continue assets.append({ path: str(p.relative_to(root)), size: p.stat().st_size, sha256: sha256(p), # 内容指纹用于和公开污染样本库比对 suffix: p.suffix.lower(), }) return assets if __name__ __main__: result scan(/data/ai-workspace) # 换成实际工作区根目录 Path(inventory.json).write_text(json.dumps(result, indent2)) print(fscanned {len(result)} assets)SUFFIXES要按自家环境调整训练集群上常见的.ckpt、.h5也该加进去。sha256走的是内容指纹而不是文件名因为同名不同源是供应链攻击的常见伪装。输出的 JSON 应该落进资产库而不是留在本地每次合并前跑一遍新旧指纹一对比凭空冒出来的组件就会自己跳出来。这套东西不解决「有没有毒」但解决了「有没有见过」——后者是前者的前提。清点完成之后才谈得上分层。报告建议用覆盖信任、风险与安全管理TRiSM全栈的分层方式保护 AI 交互把关注点从运行时向量扩展到软件供应链和基础设施栈同时升级基础设施安全能力比如机密计算、对数据管道的深度检测、工作负载加固。这几项里数据管道的深度检测最容易被低估——它拦的不是某一次请求而是整条数据流向的异常偏转。3. 四个容易踩空的误读从代理漂洗到「战术性」的偏见3.1 误读一把 70% 理解成「AI 模型本身不安全」误判点看到「70% 的恶意攻击针对企业 AI」第一反应是把预算全压到模型安全测评上——对抗样本、提示注入、模型越狱一轮一轮做。为什么错这个数字的定语是「恶意攻击」主语是攻击路径而不是受害对象。报告说得很直白攻击者选供应链和基础设施层是因为那里投入产出比最高。模型测评当然要做但它防的是另一类问题跟这 70% 基本不在一条线上。怎么看把预算往「组件清点 管道检测 依赖溯源」挪模型测评排在这些之后。判断标准很土但管用——如果你的团队能在一小时内说清楚某个业务线上跑了哪些开源模型、来自哪里、谁审批过那你已经领先大多数组织如果说不清先补这个别急着做对抗样本。3.2 误读二认为现有的 SAST/SCA 已经覆盖了 AI 管线误判点安全团队看到研发流程里已经有代码扫描和依赖扫描就默认 AI 项目也在覆盖范围内。为什么错报告明确指出传统应用安全工具并未普遍演进到能集成 AI 实体的漏洞扫描。更现实的情况是数据科学团队的工作方式本身就是绕开标准流程的——他们在 notebook 里现装包、在本地加载权重、把凭据写进单元格这些动作在传统流水线里根本不留痕迹。怎么看做一次对照测试别听厂商说。拿一个真实的 notebook 仓库丢给现有扫描器看它能不能报出三类问题pickle 格式模型文件的来源与哈希、%pip install拉取的未锁定依赖、管道配置里指向外部的导出地址。三类都报不出来就是覆盖不到不用争论。测试完再决定是补工具还是补流程。3.3 误读三相信 AI 代理在 2025 年就能接管工作流误判点供应商演示里的代理能自己读告警、自己查情报、自己闭环处置于是立项时就按「全自动」写验收标准。为什么错报告点名了一个现象叫「AI 代理漂洗」——把普通的规则编排和脚本自动化包装成智能代理对外售卖。同时报告给的判断是自主代理在炒作曲线上正接近预期顶峰但距离真正进入平台期还要五到十年GenAI 编排代理工作流的整体成熟度仍然偏低一些根本性限制还没解决。最能说明问题的一个数字是只有 12% 的安全与风险管理领导者已经取得了可衡量的成果。怎么看验收标准从「能不能替代人」改成「能不能缩短某一步的耗时」。要求供应商给出可测量的指标——误报率、平均处置时长、人工复核占比并且在上线后持续跟踪。半自动化加人工抽检是这一阶段比较稳的形态。3.4 误读四把「战术性」当成没前途误判点报告说 2027 年 90% 成功的 AI 安全落地是战术型的任务自动化与流程增强有人读完的第一反应是「那就是做不成大事」。为什么错方向判断反了。报告的原意是过去两年大张旗鼓的转型项目普遍没跑出可衡量的收益反而是那些范围窄、收益立刻可见、出问题也容易修的小规模落地在持续产生结果。安全团队在威胁检测与响应上被「全自动化」许诺过不止一次血泪经验是买回来发现只有检测、没有响应因为误报和业务中断容忍度这两个坎绕不过去。怎么看立项时把一个大转型拆成若干个小实验每个实验绑定一个能测的指标和一个明确的止损点。报告的建议是组合小实验与对 AI 增强效果的持续评估而不是继续追加那些目标不清、范围模糊、难以衡量的项目。这条路走起来不性感但它能让你在预算评审会上拿出数字。4. 自动化攻击提速 50%账户接管的时钟被谁拨快了4.1 老链条没变变的是每一环的速度账户接管是个老问题链条也没变过弱凭据通过数据泄露、钓鱼、社会工程、恶意软件等途径被收集起来攻击者再用机器人对多个服务发起大批量登录尝试赌的是用户在多个平台复用同一个密码。这套玩法存在十几年了防御方也早就上了多因素认证。问题出在多因素认证的实现方式上。报告点得很准依赖带外通信通道的 MFA 方法同样脆弱——通过短信或邮件下发的一次性验证码可以被截获推送轰炸则通过不断向用户手机推认证请求直到用户受不了点同意。这两种攻击都不需要攻破密码学攻的是人。AI 代理的加入把这条链条上原本需要人工的环节批量自动化了。报告的战略假设是到 2027 年AI 代理会进一步自动化凭据窃取和认证通信信道的攻破把账户暴露被利用所需的时间缩短 50%。注意这里的措辞是「通信信道」不只是「密码」——意味着攻击面覆盖了验证码下发、推送确认、找回密码邮件这一整条链路。从行业角度看这个 50% 不是让你把响应时间从 20 分钟压到 10 分钟那么简单。它压缩的是「从凭据泄露到被利用」的窗口期。过去一个泄露的密码可能在暗网上躺几周才被批量尝试防御方还有时间靠异常登录检测兜住当收集、社工、尝试、确认这几步被串成自动化流水线窗口期会短到很多团队的检测规则根本来不及触发第二轮。4.2 检测窗口缩短暴露的是响应流程的自动化程度很多团队的安全运营流程是这么设计的检测规则命中 → 生成告警 → 分析师初判 → 联系用户确认 → 处置。这条链上每一步都有人在环每一步都有等待。窗口期砍半之后最先撑不住的不是检测能力是这条人工链的时延。报告给的另一组数据可以对照看2024 年的调研显示只有 34% 的受访组织实现了自动化的漏洞优先级排序流程。也就是说连「先处理哪个」这一步都还有三分之二的组织靠人排更不用提自动处置。务实一点的做法是把响应流程里「不需要判断」的环节先自动化掉会话吊销、强制重新认证、临时限速、把可疑登录的设备指纹拉进观察名单。这些动作的共同点是可逆、影响可控、不需要人拍板。判断类环节——比如要不要锁定整个账号、要不要通知业务方——继续留给人但把上下文准备好让判断从「五分钟查资料」变成「十秒钟看一眼」。4.3 通行密钥推进得慢攻击窗口关得快报告提到一个结构性矛盾访问管理工具和部分大型消费服务已经支持 FIDO2 通行密钥但绝大多数企业用户和终端用户的实际采用进度很慢密码这类遗留凭据在可预见的未来仍会存在。这句话的含义是防御侧的最佳实践无密码认证和现实侧的存量密码满天飞之间的差距会在未来两三年持续存在。而这个差距正好是 AI 代理自动化攻击最舒服的猎场——它们不需要攻破通行密钥只需要继续收割那些还没迁移的账户。报告给的建议落在两件事上重新评估通信信道的安全重新评估凭据安全尤其是针对半自动化流程和即将到来的 AI 代理架构。翻译成可执行的动作把「验证码走哪条通道」当成一个需要重新设计的架构问题而不是配置问题把「找回密码流程」当成高价值攻击路径单独做威胁建模对于高权限账户优先推动通行密钥别等全员铺开。顺带说一句这里最容易踩的坑是把 MFA 当成一个已完成的勾选项。MFA 是能力不是状态带外通道的每一次变化——换短信服务商、加邮件网关、上新推送平台——都可能重新打开一个口子。这类变更如果没有安全评审翻车是迟早的事。5. 深度伪造换了靶心2028 年的 40% 意味着什么5.1 从「高管专属风险」到「全员风险」过去几年谈深度伪造场景基本固定伪造 CEO 的声音给财务打电话要求紧急转账。这类案例有戏剧性传播广但也造成了一个副作用——很多组织把它归类成「高管保护」议题防护资源投在少数几个人身上。报告的判断把这个假设掀了到 2028 年40% 的社会工程攻击将不再只针对高管而是用深度伪造和其他「伪造现实」技术瞄准更广泛的员工群体。这个变化的技术前提是成本——生成一段逼真的合成语音或视频门槛已经降到普通攻击者能批量使用的程度报告另一条关键发现也提到诈骗内容的大规模生成已经在发生伪造语音和深度伪造正在成为有效的攻击向量。靶心一旦从几个人扩到几千人「靠人识别」这条路就走不通了。你没法指望每个员工都能分辨一段合成语音就像你没法指望用户靠肉眼识别钓鱼邮件——教育有用但天花板很低。5.2 通信信道本身就是攻击面而且是最难加固的那类深度伪造的落点是通信不是系统。攻击者不需要打进你的内网只需要在某个环节让某个人相信电话那头是熟人。这意味着防御的对象是语音、视频会议、即时消息这些通道而它们的共同特点是长期被当成「办公工具」而不是「安全边界」。报告在账户接管那一节里其实已经埋了伏笔——认证通信信道的攻破被列为 AI 代理自动化的重点方向。深度伪造和账户接管在这里是同一件事的两面前者解决「让人相信」后者解决「让系统放行」。两面一合就是一次完整的冒充。加固思路要往「信道之外再叠一层」走。语音身份不可靠那就靠语音之外的东西验证预共享的核验短语、回拨到通讯录里的既有号码、走另一条独立通道的二次确认。这些手段都很土没有任何智能成分但它们不依赖对方的声音像不像。关键业务操作——付款、改收款账户、重置高权限凭据——应该被强制挂上这类流程而不是留给「听起来像本人」这种判断。5.3 用威胁情报把恐慌压回可执行范围报告在给出建议时用了一个很克制的表述为潜在的新威胁做准备但不要陷入恐慌保持 AI 威胁情报职能并让防御措施针对「已观察到的、有害的」深度伪造攻击来调优。这个「已观察到」是整段话的重心。深度伪造的想象空间太大如果不加约束很容易演变成一场全员的信任危机——所有视频会议都要验、所有语音都要查最后业务受不了安全团队背锅。可行的路径是把情报职能做实收集本行业、本地区已经出现的伪造案例分析它们的落点是骗钱、骗权限还是骗数据、载体语音、视频还是图文和话术结构然后只针对这几类已发生的模式做检测和流程改造。具体可以落成三件事。一是建立深度伪造事件的专门处置剧本明确发现疑似伪造后谁来判断、多长时间内响应、要不要暂停相关账户。二是把「内容真实性核验」嵌进高风险流程的节点上而不是做成一个独立系统等人来用。三是定期用真实的、已公开的伪造样本做内部演练让员工见过一次比讲十次 PPT 有效。还有一个容易被忽略的点报告提到企业仍在承受 AI 增强威胁的阴影但同时也指出早期 GenAI 实验的挫折削弱了安全团队对 GenAI 潜力的信心可能导致未来 AI 创新在网络安全领域被忽视。这两件事同时成立——既不能因为怕就停止用 AI 做防御也不能因为早年踩坑就对新能力关上大门。分寸在于用途检测、归类、优先级排序这类窄任务现在就能用替代分析师做判断还早。6. 从 2025 到 2028AI 治理与防御预算的三个挪动方向6.1 三条时间线叠在一张图上优先级自己会浮出来报告里的四个战略假设落在不同年份单看是四条预测叠在一起看是一张排期表。时间点报告给出的判断对安全团队的直接含义2025 年内软件供应链与基础设施技术栈中毒占针对企业 AI 恶意攻击的 70% 以上组件清点、依赖溯源、管道检测要在今年内落地不能排到明年2027 年90% 成功的 AI 安全实施是战术型任务自动化与流程增强立项按小实验拆验收按可测指标写别赌大转型2027 年AI 代理把账户暴露的利用时间缩短 50%响应链上不需要判断的环节先自动化人工只留判断位2028 年40% 的社会工程攻击用深度伪造瞄准更广泛员工核验流程下沉到财务、HR、IT 服务台等高价值操作岗这张表最值得看的是节奏差2025 年的那条最急但它恰好是四条里最不依赖新技术的——清点、溯源、扫描全是工程活。2027 和 2028 的两条反而有缓冲期可以边做边调。很多团队的资源分配是反的把预算压在看得见未来的地方把今年就要爆的地方拖着。6.2 预算往哪挪从「买能力」到「建清单」报告的建议里排在第一位的永远是清点。「先为 AI 应用建立强有力的发现与清点流程然后识别现有应用安全最佳实践中可以容易地套用到在研 AI 项目上的部分」——这句话的顺序是有讲究的先看见再复用最后才是补新工具。第一个挪动方向是把钱从「新建能力」挪一部分到「摸清家底」。这件事听起来不产生直接防护价值但它决定了后面所有投入的效率。一个连模型文件从哪来的都说不清的环境买再多检测工具也只是在噪音里找信号。第二个方向是从运行时往管道和基础设施栈挪。报告建议企业把关注点从运行时向量扩展到软件供应链和基础设施栈并为 AI 应用启动软件成分分析与漏洞评估程序。具体到采购清单上就是对数据管道的深度检测、机密计算、工作负载加固这几类东西的权重应该往上调而不是继续加购端点 agent。第三个方向是 AI 治理工具的定位。报告提到要部署 AI 治理工具持续评估和保证所有 AI 资产的安全态势尤其是来自软件供应链的那部分。这里的关键词是「持续」和「所有」——一次性评估在这个场景里没有意义因为 AI 资产每周都在变。治理工具如果不能自动发现新资产并把它们纳入评估范围它就只是个报表生成器。下面这张自检表可以拿来对照现状每一条都对应报告里的具体建议不需要额外解释检查项及格线不及格时的典型症状AI 资产清单能按业务线列出模型、notebook、依赖树及其来源被问到时靠人回忆不同团队报出来的数字对不上组件来源校验新增模型和包有哈希基线异常变更能告警只能看到「有没有装」看不到「装的是不是原来那个」管道配置审计数据导出目标、凭据存放位置有自动检查靠 code review 肉眼看规模一上来就漏AI 应用漏洞评估SCA 与漏洞评估覆盖 notebook 和 ML 管道扫描器只认 lock 文件notebook 里的现装包完全不报响应自动化会话吊销、限速、强制重认证可自动执行每个动作都要分析师手工点夜间无人值守高风险操作核验付款、改账户、重置凭据有独立通道复核依赖「听起来像本人」和「发件人名字对」AI 威胁情报有专人跟踪已观察到的深度伪造案例并转化成规则只在出事后临时查资料规则永远滞后一轮6.3 一个具体观察这一轮的胜负手在「人还留不留得住」报告里有个细节值得反复看2027 年 90% 成功的 AI 安全实施是战术型的任务自动化与流程增强而不是角色替代。同一份报告还建议要保护关键技能把定期人工核验作为半自动化工作流的一部分测试期做抽样验证上线后继续保持。把这两条放在一起得到的结论是未来两三年安全团队的价值不在「跑得比 AI 快」而在「知道什么时候该叫停」。手工核验不是过渡期的权宜之计它是流程设计的一部分——因为半自动化流程一旦完全去掉人出问题时你连从哪查都不知道。我在一个项目里吃过这个亏。当时把一批低风险告警的处置全自动了规则跑得挺好三个月没出过事团队就把人工抽检停了。第四个月出了个批量误封因为上游一个字段的语义被悄悄改过自动化流程照着旧映射一路执行等到业务方找上门日志已经被轮转掉大半排查花了整整两天。从那以后我每次设计自动化流程都强制走一遍「人工抽检比例怎么定、抽检结果谁看、多长时间看一次」这三个问题答不上来就不上线。后悔药这东西从来都是事前买的。这份报告的完整版值得自己过一遍它把 2025 到 2028 的判断拆成了几条可以拿去和业务方对齐的线尤其适合在预算评审前当作参考材料。希望帮到你。本文还有配套的精品资源点击获取